Instalar y desplegar Sophos Protection for Linux

Límite importante del producto: aunque la página de incorporación de Sophos denomina esta sección Deployment to Linux dentro de la guía de Endpoint, sus enlaces para Linux remiten a Server Protection y Sophos Protection for Linux (SPL) en Sophos Fusion. Por tanto, Linux no recibe el instalador de Endpoint para Windows/macOS descrito en los capítulos contiguos, sino un agente propio para servidores Linux, con políticas, requisitos, Release Notes y procedimientos de instalación específicos.

El proceso general, desde la preparación del tenant hasta la operación, se explica en la ruta de incorporación de Endpoint. Este artículo aborda exclusivamente la vía para servidores Linux.

Para un único servidor Linux, elija primero el modo de protección en My Environment > Installers: Download Linux Server Installer para obtener protección antimalware completa o Download XDR Sensor Linux Server Installer para instalar el XDR Sensor sin protección antimalware propia. Haga ejecutable el archivo SophosSetup.sh descargado para el tenant y el modo previstos e inícielo con privilegios de root. Para varios sistemas, utilice ese instalador en una distribución de software controlada y ejecute primero --test. Si SPL debe estar ya instalado en la plantilla de la máquina virtual, utilice el proceso documentado de Gold Image para Linux, de modo que cada clon obtenga una identidad de dispositivo propia. Sophos recomienda evaluar este método para entornos con escalado automático, balanceo de carga o un gran número de máquinas virtuales.

Antes del primer dispositivo piloto

No autorice la instalación hasta haber comprobado los siguientes puntos:

• Licencia y alcance de protección deseado: en Server Protection hay dos descargas distintas para Linux. El XDR Sensor requiere una licencia XDR y, según Sophos, no protege por sí mismo contra las amenazas; debe haber protección de un tercero. Compruebe el modo deseado y la licencia disponible antes de descargar el instalador.
• Plataforma compatible: la distribución, la versión, la arquitectura y el kernel deben figurar en la matriz de compatibilidad vigente de SPL. Sophos mantiene en las Release Notes las plataformas probadas y los requisitos del sistema. Las variantes no incluidas, reforzadas, mínimas, personalizadas o heredadas están sujetas a límites de soporte específicos. SPL no se instala de forma forzada en distribuciones inmutables; para ellas, Sophos remite al producto independiente Sophos Linux Sensor.
• Requisitos básicos: en la revisión de contenido del 14 de septiembre de 2026, las Release Notes de SPL exigían 2,5 GB de espacio libre, 2 GB de memoria libre, arquitectura x86_64 o ARM64, una versión compatible de systemd en ejecución, Bash y glibc 2.17 o posterior, o bien 2.18 o posterior en ARM64. ARM64 también requería el kernel 5.3 o posterior. El instalador necesitaba curl; el plugin AV requería setcap, proporcionado por libcap2-bin, libcap o libcap-progs. Esta base fechada no sustituye la comprobación de aprobación vigente.
• Acceso a la red: el dispositivo debe poder acceder a Sophos Fusion durante la instalación y después de ella. Pruebe DNS, HTTPS, el proxy, TLS Inspection y, cuando corresponda, Message Relay y Update Cache desde cada red de servidores prevista según los requisitos de red y proxy.
• Protección existente: Sophos Anti-Virus for Linux no puede ejecutarse en paralelo con SPL. Debe desinstalar SAV antes o migrarlo invocando el instalador con --uninstall-sav. En cambio, con un XDR Sensor exclusivo debe mantenerse activa una protección de terceros, ya que el sensor no proporciona protección antimalware. Antes del piloto con protección antimalware SPL completa, evalúe por separado la posible instalación paralela de otros antivirus conforme a las autorizaciones de sus fabricantes.
• Contrato de despliegue: documente antes de empezar el grupo de destino, el grupo de Central, el alcance del producto, el tamaño del piloto, los criterios de parada, la ventana de mantenimiento y la vía de reversión.

Mantener la información de versiones, plataformas y red

Este artículo es la base de revisión interna de los requisitos específicos de Linux. El responsable comprueba las Release Notes de SPL y la matriz de compatibilidad de distribuciones y kernels en el portal de Sophos mensualmente y antes de cada piloto y cada oleada de despliegue. Registre en el cambio la fecha de revisión, la persona responsable, la versión de SPL, la distribución, su versión, la arquitectura, el kernel, los recursos mínimos, las desviaciones y la decisión de aprobación. Si la información vigente difiere de la base fechada anterior, actualice los criterios del piloto y este artículo antes de la siguiente oleada; los valores antiguos no constituyen una aprobación.

La guía de red enlazada es la referencia del proceso común de lista de permitidos y proxy, incluidos los destinos específicos de Linux y dependientes de la licencia. Para los paquetes de software, las actualizaciones escalonadas, Update Cache y Message Relay, siga también Actualizaciones, caché y Message Relay de Sophos Endpoint. El piloto de Linux debe validar igualmente la ruta real y la versión de SPL instalada desde cada red de servidores prevista.

Comprobar primero los sistemas de archivos y los recursos

Solo para la protección antimalware completa con el producto antivirus instalado: SPL solo puede analizar y poner en cuarentena archivos de forma fiable en sistemas de archivos expresamente compatibles. En la revisión de fuentes del 20 de septiembre de 2026, Sophos indicaba bfs, btrfs, cifs, devtmpfs, ecryptfs, ext2, ext3, ext4, fuse, fuseblk, iso9660, jfs, jfs2, msdos, nfs, nfs4, overlay, squashfs, tmpfs, udf, vfat, xfs y zfs. Vuelva a contrastar la lista con la documentación vigente de SPL antes de cada oleada. En el piloto con AV, enumere todos los destinos montados y sus tipos:

findmnt -rn -o TARGET,FSTYPE

En el modo AV, compruebe no solo / y la ruta de instalación, sino también todos los montajes con datos de negocio, contenedores, recursos de red o destinos de análisis previstos. Un sistema de archivos no listado no queda aprobado porque una primera prueba parezca funcionar. Sophos recomienda excluirlo del análisis; el plugin AV excluye automáticamente los sistemas de archivos con problemas conocidos y lo registra en soapd.log. Para un XDR Sensor exclusivo, los destinos de análisis, la cuarentena y este log AV no son criterios de aceptación.

SPL gestiona los límites de CPU y memoria mediante cgroups de Linux. Según Sophos, los valores predeterminados sirven para la mayoría de los entornos, por lo que no deben añadirse límites generales antes del piloto. Si existe una necesidad operativa, mida primero la carga y la tolerancia de la aplicación y consulte el archivo instalado localmente /opt/sophos-spl/base/etc/cgroup-resource-limits-README.txt. Es la referencia porque las opciones, los componentes y los valores válidos pueden cambiar. Los valores propios se guardan en /opt/sophos-spl/base/etc/cgroup-limits.conf; la CPU se expresa como porcentaje con % y la memoria, según la opción, en MB o porcentaje. SPL descarta los valores fuera del intervalo admitido y usa el predeterminado. Por ello, este artículo no prescribe cifras universales.

Tras la instalación o un cambio, aplique las siguientes comprobaciones según el modo realmente instalado:

1. Solo con antivirus: findmnt muestra un tipo actualmente compatible para cada destino de análisis previsto.
2. Si se han personalizado los límites de cgroup: /opt/sophos-spl/logs/base/watchdog.log confirma la configuración aplicada a los componentes realmente instalados y no contiene errores de configuración.
3. Si se han personalizado los límites de cgroup: el journal del sistema no contiene procesos terminados por el cgroup de SPL. Como no todos los sistemas Linux conservan el journal tras reiniciar, configure su almacenamiento persistente conforme a la política operativa local si es necesario conservar el historial de errores.

Instalación individual desde Sophos Fusion

1. En Sophos Fusion, vaya a My Environment > Installers.
2. En Server Protection, elija la descarga para Linux correspondiente: Download Linux Server Installer para protección antimalware completa o Download XDR Sensor Linux Server Installer para un XDR Sensor exclusivo (requiere licencia XDR y protección activa de un tercero). No utilice el instalador de Endpoint para Windows o macOS. El Sophos Linux Sensor (SLS), ofrecido por separado, no es el SPL XDR Sensor.
3. Transfiera SophosSetup.sh al servidor Linux previsto mediante una vía con acceso protegido.
4. Cambie al directorio de descarga y conceda permiso de ejecución:

chmod +x SophosSetup.sh

5. Ejecute primero las comprobaciones previas sin instalar:

sudo ./SophosSetup.sh --test

6. Si las comprobaciones finalizan correctamente, inicie el instalador:

sudo ./SophosSetup.sh

Sin --install-dir, SPL se instala en /opt/sophos-spl/. Que el proceso de shell termine correctamente todavía no constituye la aceptación del despliegue; a continuación debe comprobar el registro, los componentes realmente instalados, las políticas correspondientes y el estado tanto en Central como localmente. Las comprobaciones AV descritas más abajo no son aplicables a un XDR Sensor exclusivo.

Descargar el instalador directamente en el servidor

Para realizar una descarga manual desde el shell, copie en Sophos Fusion la dirección del enlace del instalador de Linux elegido previamente (protección completa o XDR Sensor) y úsela como marcador de posición en el comando siguiente:

wget '<LINUX-INSTALLER-LINK>' -O SophosSetup.sh
chmod +x SophosSetup.sh
sudo ./SophosSetup.sh --test
sudo ./SophosSetup.sh

Sustituya <LINUX-INSTALLER-LINK> por la dirección copiada de su propio tenant para el modo elegido. No incluya la URL ni el archivo descargado en repositorios públicos de scripts, tickets o recursos compartidos de lectura libre. Para despliegues repetibles, distribuya el artefacto de instalación mediante el sistema protegido de paquetes o secretos de su plataforma.

Desplegar varios sistemas Linux mediante un script

Un despliegue masivo comienza con unos pocos servidores representativos. El piloto debe abarcar las diferencias de distribución, kernel, arquitectura, hardening, ruta de proxy, ubicación, carga de trabajo y software de seguridad existente. No inicie la siguiente oleada limitada hasta haber superado la aceptación.

El siguiente script es exclusivamente un ejemplo de protección antimalware completa con XDR licenciado además, no de un XDR Sensor exclusivo. Utiliza el Linux Server Installer descargado para ese fin, asigna el dispositivo al subgrupo LinuxServers\Pilot y solicita los componentes antivirus y xdr:

#!/usr/bin/env bash
set -euo pipefail

if (( EUID != 0 )); then
  printf 'Este script de despliegue debe ejecutarse como root.\n' >&2
  exit 1
fi

installer='/var/tmp/SophosSetup.sh'
chmod 700 "$installer"

"$installer" --test
"$installer" \
  --group='LinuxServers\Pilot' \
  --products=antivirus,xdr \
  --tag=Rollout:wave-0 \
  --tag=ManagedBy:automation

Adapte la ruta del grupo a la estructura de Central de su organización. Si el grupo o subgrupo indicado aún no existe, el instalador lo crea. Por eso debe comprobar la ruta exacta antes del despliegue: un error tipográfico puede crear un grupo nuevo no deseado. Con --products, los productos sin licencia no se instalan; según la página actual de la CLI, los valores permitidos son antivirus, mdr y xdr. Puede añadir etiquetas al dispositivo repitiendo el argumento --tag=<key>:<value>. Si se repiten claves, Central solo muestra el último valor proporcionado.

En este ejemplo, set -euo pipefail evita que el script continúe silenciosamente como si hubiera finalizado con éxito después de una comprobación previa o una instalación fallida. El sistema de distribución de software debe conservar el estado de salida real y no intentar instalar indefinidamente los hosts que fallen. Como Sophos no publica en la página de la CLI una tabla permanente de códigos de salida numéricos, la aceptación no debe depender de una correspondencia inventada, sino de las comprobaciones locales y de Central combinadas.

Opciones importantes del instalador

Las variables de entorno se colocan antes y las opciones de línea de comandos después de la llamada al instalador.

Puede especificar los UID y GID de las cuentas y grupos creados por SPL mediante --user-ids-to-configure y --group-ids-to-configure. Utilice estas opciones únicamente si la política local de identidad o hardening exige identificadores fijos; Sophos limita expresamente su efecto a las cuentas y grupos de SPL documentados.

Con --install-dir=<basis>, SPL queda instalado en <basis>/sophos-spl. Adapte en consecuencia todas las rutas posteriores de logs, versión, registro y desinstalación; las rutas /opt/sophos-spl/... de este artículo corresponden a la instalación predeterminada. Además, las rutas del plugin AV solo corresponden a hosts con el producto antivirus instalado.

Especificar Message Relay y Update Cache

Normalmente, SophosSetup.sh incluye los relays y las cachés configurados en Central. El instalador los ordena por proximidad numérica a la IP del dispositivo y utiliza el servicio accesible más cercano; si ninguno está accesible, se comunica directamente con Central. Puede anular explícitamente esta selección para la instalación:

sudo ./SophosSetup.sh \
  --message-relays=192.0.2.10:8190 \
  --update-caches=192.0.2.10:8191

192.0.2.10 es una dirección reservada para documentación y debe sustituirse. Sophos utiliza el puerto 8190 para Message Relay y 8191 para Update Cache. El valor none fuerza la conexión directa a Central en la opción correspondiente. Esta anulación se aplica a la instalación; después, el agente vuelve a utilizar los servicios configurados más cercanos, salvo que asigne manualmente el dispositivo en Central.

Gold Image para sistemas Linux virtuales

No clone sin modificaciones un sistema Linux ya instalado y registrado. Antes de guardar la plantilla, anule el registro de la VM que sirve de Gold Image en Sophos Fusion. Cada clon que se inicie a partir de ella se registrará automáticamente con una identidad propia cuando arranque y tenga acceso a la red.

1. Prepare por completo el sistema operativo y las aplicaciones de la VM maestra.
2. En My Environment > Installers, descargue Linux Server Installer o XDR Sensor Linux Server Installer, según el modo de protección previsto.
3. Instale SPL como se describe arriba y compruebe su estado.
4. Cambie al directorio de registro y anule el registro de la VM maestra:

cd /opt/sophos-spl/base/bin/
sudo ./registerCentral --deregister

5. Apague inmediatamente la VM y guarde la imagen mientras está apagada.
6. No vuelva a iniciar la VM maestra después de anular el registro. Al reiniciarse se registraría de nuevo; en tal caso, deberá volver a anular el registro antes de guardar la imagen.
7. Inicie al menos dos clones desde la imagen guardada y compruebe que aparecen como dispositivos independientes en Central.

Si cambió la ubicación de instalación con --install-dir, sophos-spl se encuentra debajo de la ruta indicada. En ese caso, ejecute el comando de Gold Image desde el directorio base/bin correspondiente a esa instalación.

Aceptar la instalación

El piloto solo se considera superado cuando se cumplen todos los controles siguientes:

1. En My Products > Server > Servers aparece exactamente el objeto de dispositivo esperado para cada host. En la página de detalles del servidor, el estado, la última actividad y los componentes instalados son plausibles.
2. El dispositivo pertenece al grupo previsto y recibe las políticas de servidor correspondientes a los componentes realmente instalados. Con protección antimalware completa, debe estar activa la Server Threat Protection Policy; para las políticas de actualización se aplica la primera coincidente.
3. El servicio se ejecuta localmente:

sudo systemctl status sophos-spl

4. Solo con el producto antivirus instalado: la versión de Server Protection que muestra Central coincide con la versión indicada localmente:

sudo cat /opt/sophos-spl/plugins/av/VERSION.ini

Sophos especifica precisamente este archivo del plugin AV para comparar las versiones. Con un XDR Sensor exclusivo no se presupone su existencia: en su lugar, contraste los componentes realmente instalados, sus versiones mostradas, el estado y la última actividad en la página de detalles del servidor con el modo de sensor elegido. Compruebe localmente la conexión con Sophos Fusion en el log MCS/de administración correspondiente a la versión instalada: /opt/sophos-spl/logs/base/sophosspl/management.log o, en paquetes LTS, posiblemente los logs antiguos mcsrouter.log y sophos_managementagent.log. Verifique los nombres y la ruta de los logs en el paquete instalado; la mera presencia o ausencia de un log o de una ruta AV no demuestra que el sensor funcione o falle.

5. Solo con el producto antivirus instalado: para la prueba EICAR On-Access, deben estar activadas en la Server Threat Protection Policy efectiva tanto Real-time scanning - Local files and network shares como Enable scan for Server Protection for Linux Agent; la opción específica de Linux está desactivada de forma predeterminada. Después, compruebe la detección en /opt/sophos-spl/plugins/av/log/av.log y en la página de resumen del servidor. Un XDR Sensor exclusivo no ofrece esta detección antimalware ni análisis bajo demanda; compruebe por separado la protección antimalware de terceros que debe permanecer activa, siguiendo el procedimiento documentado por su fabricante.

Detenga la oleada general si faltan dispositivos, aparecen duplicados, permanecen en mal estado, no reciben los componentes o las políticas previstos, o se ven afectadas cargas de trabajo críticas para el negocio.

Detener, revertir o retirar el despliegue

La reversión comienza por detener la distribución. Detenga las nuevas asignaciones de destino y los reintentos automáticos, delimite la oleada afectada y conserve el último estado funcional de VM, paquete o configuración. La desinstalación no restaura automáticamente el software de protección de terceros que se haya eliminado o sustituido.

Para consultar el procedimiento completo de retirada local, limpieza de cgroup, verificación, tratamiento del registro de Central y recuperación, siga Desinstalar por completo Sophos Protection for Linux. Mantenga los comandos de retirada en ese runbook en lugar de copiarlos a un trabajo de instalación o despliegue.

Tamper Protection no está disponible para Sophos Protection for Linux y, por tanto, no se aplica a esta reversión. Aun así, compruebe las políticas de servidor restantes, restaure la protección prevista y decida cómo tratar el registro del dispositivo en Central antes de cerrar el cambio.

Solución de problemas por síntoma

--test o la instalación falla

Conserve el comando exacto, la distribución, el kernel, la arquitectura y la salida. Cuando Thin Installer detecta un error de instalación, inicia automáticamente Sophos Diagnostic Utility (SDU) y crea sophos_diagnose.tgz en el directorio de Thin Installer. Este archivo contiene logs de instalación e información del sistema para Sophos Support.

Ejecute lo siguiente solo si Sophos Support se lo solicita o para una reproducción controlada. El comando vuelve a iniciar el instalador, activa la salida de depuración del shell y conserva el directorio temporal de instalación:

sudo OVERRIDE_INSTALLER_CLEANUP=1 \
  DEBUG_THIN_INSTALLER=1 \
  bash -x ./SophosSetup.sh 2>&1 | tee install.log

OVERRIDE_INSTALLER_CLEANUP=1 conserva el directorio temporal /tmp/SophosCentralInstall_<uuid>. Los logs pueden contener nombres de host, rutas internas y detalles de red; revíselos antes de compartirlos.

/tmp está montado con noexec

No reduzca permanentemente las restricciones de /tmp. Cree una ruta temporal ejecutable adecuada y establézcala mediante TMPDIR únicamente para el instalador:

sudo TMPDIR=/var/tmp ./SophosSetup.sh --test
sudo TMPDIR=/var/tmp ./SophosSetup.sh

TMPDIR solo cambia la ubicación temporal, no /opt/sophos-spl como destino predeterminado de instalación.

El dispositivo no aparece en Sophos Fusion

Compruebe primero DNS, TCP 443, el proxy, TLS Inspection y la lista vigente de dominios permitidos. A continuación, examine el log MCS/de administración correspondiente a la versión instalada para identificar la ruta de conexión elegida y confirmar una conexión correcta: /opt/sophos-spl/logs/base/sophosspl/management.log o, en paquetes LTS, posiblemente los logs antiguos mcsrouter.log y sophos_managementagent.log. Verifique los nombres y la ruta de los logs en el paquete instalado. Sophos muestra en el management.log actual, por ejemplo, Successful connection via environment proxy y Connection method: Proxy.

Si un dispositivo Linux todavía no administrado no puede obtener la configuración de proxy de Central, Sophos documenta como solución de arranque un archivo que contenga http_proxy=https://<PROXY_ADDRESS>:<PROXY_PORT>: en sistemas basados en Debian, en /etc/default/sophos-spl; en RHEL, CentOS y Amazon Linux, en /etc/sysconfig/sophos-spl. A continuación, ejecute:

sudo systemctl restart sophos-spl
sudo systemctl status sophos-spl

Después, compruebe el log MCS/de administración correspondiente a la versión instalada (en LTS, posiblemente mcsrouter.log y sophos_managementagent.log).

La protección antimalware completa está instalada, pero Real-Time Scanning no funciona

Solo con el producto antivirus instalado: en My Products > Server > Policies, abra la Threat Protection Policy efectiva. Deben estar activadas tanto Real-time scanning - Local files and network shares como Enable scan for Server Protection for Linux Agent. Para el diagnóstico local, Sophos especifica los archivos de política /opt/sophos-spl/base/mcs/policy/CORC_policy.xml y /opt/sophos-spl/plugins/av/var/on_access_policy.json, además del log /opt/sophos-spl/plugins/av/log/soapd.log. Este síntoma no corresponde a un XDR Sensor exclusivo: su protección antimalware debe proceder de un tercero.

La ruta de instalación personalizada falla con SELinux Enforcing

No lo evite mediante --notest ni desactivando SELinux globalmente. El nuevo directorio base no puede ser un enlace simbólico ni contener todavía un subdirectorio sophos-spl. Después de crearlo, transfiera el contexto SELinux de /opt a la nueva ruta:

sudo semanage fcontext -a -e /opt <PFAD_ZUM_NEUEN_INSTALLATIONSVERZEICHNIS>

A continuación, inicie el instalador con el valor comprobado de --install-dir. Si falta semanage, instale primero el paquete de administración de SELinux adecuado para la distribución; no desactive el control de seguridad.

No se analiza un destino AV o se terminan procesos

Solo con el producto antivirus instalado: si falta un destino de análisis, compruebe primero su tipo y punto de montaje con findmnt -rn -o TARGET,FSTYPE. Busque is not supported and will be excluded from scanning en /opt/sophos-spl/plugins/av/log/soapd.log. No fuerce con --notest un sistema de archivos excluido automáticamente o no documentado; mantenga el destino fuera del análisis hasta usar un tipo actualmente compatible o recibir confirmación de Sophos Support para esa configuración concreta.

Ante una terminación inesperada, revise /opt/sophos-spl/logs/base/watchdog.log y el journal del kernel:

sudo journalctl -k -b

Conserve los mensajes oom-kill, Memory cgroup out of memory o de valores rechazados junto con la cgroup-limits.conf efectiva y la carga del momento. No cambie cifras a ciegas: límites demasiado amplios pueden desplazar a la aplicación y límites demasiado estrictos pueden terminar procesos de protección. Aplique cambios en una ventana de mantenimiento siguiendo el README local; Sophos exige detener sophos-spl.service antes de editarlo y volver a iniciarlo después. Verifique de nuevo el estado del servicio, watchdog.log, el journal, el estado en Central y la aplicación crítica.

Los clones comparten una identidad o la plantilla reaparece

Detenga el aprovisionamiento. Compruebe si la máquina maestra se apagó realmente después de ejecutar registerCentral --deregister y si se guardó mientras estaba apagada. Si volvió a iniciarse, anule de nuevo su registro antes de guardar. No convierta los clones incorrectos en la siguiente plantilla; vuelva a crearlos desde la Gold Image preparada correctamente.

Preguntas frecuentes